CVE-2026-69819: Kritisk fejl i RPC Runtime
Kritisk fejl i RPC Runtime (CVE-2026-69819) giver angribere kodeudførelse uden login. Opdatér straks, når leverandøren udsender rettelse.
Hvad er det?
CVE-2026-69819 er en fejl i RPC Runtime, den komponent der lader programmer kalde funktioner på andre computere over et netværk. Fejlen er en såkaldt out-of-bounds write, hvor programmet skriver data uden for det hukommelsesområde, det har fået tildelt. En angriber kan udnytte det til at skrive skadelig kode ind i systemets hukommelse og få det afviklet, uden at have adgangskode eller andre rettigheder på forhånd.
Hvem rammer det?
Sårbarheden rammer systemer, der kører RPC Runtime-komponenten og eksponerer den over netværket. Det gælder typisk Windows-servere og netværkstjenester, der lytter på RPC-porte som TCP 135, samt Linux-systemer der bruger tilsvarende RPC-tjenester. NVD-oplysningerne angiver ikke konkrete produktnavne eller versionsnumre for denne sårbarhed. Vi anbefaler, at I går jeres liste over servere med RPC-tjenester igennem og tjekker leverandørens sikkerhedsbulletiner for det præcise produkt og den præcise version, I kører.
Hvad kan ske?
En angriber, der kan nå den sårbare RPC-tjeneste over netværket, kan afvikle vilkårlig kode med samme rettigheder som tjenesten selv, ofte systemniveau. I praksis kan det bruges til at installere ransomware, oprette bagdøre eller sprede sig videre til andre servere på netværket. Da angrebet hverken kræver login eller brugerinteraktion, kan det ske automatiseret og uden at nogen medarbejder klikker på noget.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, hvilket er den højeste alvorlighedsgrad. Angrebet kræver ingen adgangskode (PR:N), ingen handling fra en bruger (UI:N) og kan udføres over netværket med lav teknisk kompleksitet (AC:L). Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed (C:H/I:H/A:H). Der er ikke oplysninger om, at sårbarheden aktivt udnyttes på offentliggørelsestidspunktet, men kombinationen af lav kompleksitet og ingen krav om rettigheder gør den attraktiv for angribere, så snart detaljer bliver kendt.
Hvad gør jeg nu?
Gør følgende for at lukke hullet og begrænse eksponeringen, mens I venter på en officiel rettelse:
- Identificér, hvilke af jeres servere og netværksenheder der kører RPC-tjenester, og tjek leverandørens sikkerhedsside for opdateringer, der retter CVE-2026-69819.
- Installér opdateringen, så snart den er tilgængelig fra jeres leverandør, på alle berørte systemer.
- Bloker adgang til RPC-porte (fx TCP 135 og relaterede porte) fra internettet i jeres firewall, hvis tjenesten ikke skal være tilgængelig udefra.
- Segmentér netværket, så RPC-tjenester kun kan tilgås fra betroede interne systemer, indtil opdateringen er på plads.
- Overvåg logs for uventede RPC-kald eller forbindelser fra ukendte kilder i perioden, indtil systemerne er opdateret.
- Kontakt en ekstern sikkerhedsrådgiver, hvis I ikke selv kan identificere de berørte systemer, eller hvis I opdager tegn på forsøg på udnyttelse.
Opdatér så snart leverandøren udsender rettelse
Vi anbefaler, at I straks kortlægger, hvilke systemer i jeres miljø der eksponerer RPC-tjenester, og følger leverandørens sikkerhedsbulletiner tæt, indtil en officiel opdatering foreligger. Indtil da bør RPC-porte lukkes for internettet og begrænses til betroede interne netværk. Det er kun forsvarligt at vente, hvis tjenesten allerede er utilgængelig udefra og segmenteret fra kritiske systemer.
Tidslinje
Konkrete eksempler
Ransomware via eksponeret RPC-tjeneste
En dansk produktionsvirksomhed har en server, hvor en RPC-port ved en fejl er tilgængelig fra internettet. En angriber sender et forberedt, ondsindet netværkskald til tjenesten, udnytter fejlen til at skrive kode ind i hukommelsen og opnår fuld kontrol over serveren. Herfra installeres ransomware, der spreder sig til virksomhedens filservere, og produktionen lammes i flere dage.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er potentielt ramt, hvis I kører servere eller netværksenheder med RPC-tjenester, der er tilgængelige fra netværket. Tjek jeres leverandørs sikkerhedsside for at se, om jeres konkrete produkt og version er nævnt i forbindelse med CVE-2026-69819.
Hvordan tjekker vi, om vores systemer er sårbare?
Gennemgå jeres liste over servere, der kører RPC-tjenester, og sammenhold versionsnumre med leverandørens rettelsesnoter. I kan også scanne netværket for åbne RPC-relaterede porte som TCP 135 og vurdere, om de bør være tilgængelige udefra.
Kan vi vente til weekenden med at opdatere?
Det afhænger af, om RPC-tjenesten er tilgængelig fra internettet. Er den det, bør I lukke adgangen i firewallen straks og opdatere, så snart en rettelse findes. Er tjenesten kun tilgængelig internt og netværket segmenteret, kan I planlægge opdateringen inden for få dage.
Skal vi anmelde hændelsen til myndighederne?
Kun hvis I finder tegn på, at sårbarheden faktisk er blevet udnyttet, og persondata eller kritiske systemer er blevet kompromitteret. En ren sårbarhed uden konstateret misbrug skal ikke anmeldes, men bør rettes.
Hvad gør vi, hvis vi ikke kender vores nøjagtige RPC-version?
Kontakt jeres systemleverandør eller it-driftspartner for at få afklaret, hvilken version af RPC Runtime-komponenten I kører, og om den er omfattet af sårbarheden.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Out-of-bounds write in RPC Runtime allows an unauthorized attacker to execute code over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.